§ 71
Datenverarbeitung im Auftrag

(1) 1Die Justizvollzugsanstalten dürfen personenbezogene Daten durch andere Personen oder Stellen im Auftrag verarbeiten lassen. 2Dies gilt auch für Prüfungs- oder Wartungsarbeiten und vergleichbare Hilfstätigkeiten einschließlich der Fernwartung, über deren Durchführung neben der verantwortlichen Stelle auch das Justizministerium als Aufsichtsbehörde mit Wirkung für die ihrer Aufsicht unterliegenden Stellen entscheiden kann.

(2) 1Werden personenbezogene Daten im Auftrag einer Justizvollzugsanstalt durch andere Personen oder Stellen verarbeitet, bleibt die Justizvollzugsanstalt für die Einhaltung der Vorschriften dieses Gesetzes und anderer Vorschriften über den Datenschutz verantwortlich. 2Die Rechte der betroffenen Personen auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung und Schadensersatz sind in diesem Fall gegenüber der Justizvollzugsanstalt geltend zu machen.

(3) Eine Justizvollzugsanstalt darf nur solche Auftragsverarbeiter mit der Verarbeitung personenbezogener Daten beauftragen, die mit geeigneten technischen und organisatorischen Maßnahmen sicherstellen, dass die Verarbeitung im Einklang mit den gesetzlichen Anforderungen erfolgt und der Schutz der Rechte der betroffenen Personen gewährleistet wird.

(4) 1Auftragsverarbeiter dürfen ohne vorherige schriftliche Genehmigung der Justizvollzugsanstalt keine weiteren Auftragsverarbeiter hinzuziehen. 2Hat die Justizvollzugsanstalt dem Auftragsverarbeiter eine allgemeine Genehmigung zur Hinzuziehung weiterer Auftragsverarbeiter erteilt, hat der Auftragsverarbeiter die Justizvollzugsanstalt über jede beabsichtigte Hinzuziehung oder Ersetzung zu informieren. 3Die Justizvollzugsanstalt kann in diesem Fall die Hinzuziehung oder Ersetzung untersagen.

(5) 1Zieht ein Auftragsverarbeiter einen weiteren Auftragsverarbeiter hinzu, so hat er diesem dieselben Verpflichtungen aus seinem Vertrag mit der Justizvollzugsanstalt nach Absatz 6 aufzuerlegen, die auch für ihn gelten, soweit diese Pflichten für den weiteren Auftragsverarbeiter nicht schon aufgrund anderer Vorschriften verbindlich sind. 2Erfüllt ein weiterer Auftragsverarbeiter diese Verpflichtungen nicht, so haftet der ihn beauftragende Auftragsverarbeiter gegenüber der Justizvollzugsanstalt für die Einhaltung der Pflichten des weiteren Auftragsverarbeiters.

(6) 1Die Verarbeitung durch einen Auftragsverarbeiter hat auf der Grundlage eines Vertrags oder eines anderen Rechtsinstruments zu erfolgen, der oder das den Auftragsverarbeiter an die Justizvollzugsanstalt bindet und der oder das den Gegenstand, die Dauer, die Art und den Zweck der Verarbeitung, die Art der personenbezogenen Daten, die Kategorien betroffener Personen und die Rechte und Pflichten der Justizvollzugsanstalt festlegt. 2Der Vertrag oder das andere Rechtsinstrument haben insbesondere vorzusehen, dass der Auftragsverarbeiter

(7) Der Vertrag im Sinne des Absatzes 6 ist in schriftlicher oder elektronischer Form abzufassen.

(8) Ein Auftragsverarbeiter, der die Zwecke und Mittel der Verarbeitung unter Verstoß gegen diese Vorschrift bestimmt, gilt in Bezug auf diese Verarbeitung als Verantwortlicher anstelle der Justizvollzugsanstalt.